Operação Endgame desativa 235 servidores e 257 domínios de malware

Operação Endgame atinge servidores e domínios

Uma operação internacional interrompeu 235 servidores e 257 domínios usados pelas famílias de malware Gootloader, StealC e CastleRAT. A ação ocorreu na quinta-feira (12) e reuniu autoridades policiais e empresas de cibersegurança de diferentes países.

Em comunicado posterior, o Departamento de Justiça dos Estados Unidos (DOJ) informou que removeu o Gootloader de mais de 100 servidores, incluindo sites comprometidos, e apreendeu domínios usados pelos criminosos para distribuir e controlar o malware. Mais de 100 servidores associados ao StealC, especializado no roubo de senhas, também foram desativados.

Gootloader abriu caminho para ataques de ransomware

Ativo desde 2018, o Gootloader infectou aproximadamente 25 mil dispositivos em diferentes países. Documentos judiciais divulgados naquela semana indicam que as vítimas geralmente instalavam o malware sem perceber. Depois da infecção, os computadores passavam a integrar uma botnet controlada pelos criminosos.

Os operadores comercializavam o acesso aos sistemas comprometidos para outros grupos, que podiam realizar ataques posteriores, inclusive com a instalação de ransomware. Brett Leatherman, diretor de operações da divisão cibernética do FBI, afirmou que os criminosos usavam sites comprometidos para infectar milhares de computadores e obter acesso inicial.

Segundo o DOJ, mais de 44 vítimas de ransomware nos Estados Unidos foram inicialmente comprometidas pelo Gootloader. As perdas financeiras acumuladas chegaram a US$ 28,8 milhões. Autoridades também relataram que operações envolvendo o malware atingiram organizações de diferentes setores e países.

Alvos incluíram estruturas ligadas à defesa

Kenneth DeChellis, representante do Departamento de Defesa dos Estados Unidos, declarou que o malware foi usado em ataques de alcance global. Entre os alvos estavam o Departamento de Guerra americano e a Base Industrial de Defesa, formada por empresas e fornecedores que apoiam as atividades militares do país.

O FBI atribuiu a desarticulação a operações técnicas coordenadas, notificações às vítimas e procedimentos de remediação dos sistemas comprometidos. A Shadowserver Foundation participou da iniciativa com provedores de internet e equipes de resposta a incidentes de segurança (CSIRTs) em diferentes países.

Os domínios comprometidos e apreendidos durante a operação passaram a exibir avisos oficiais sobre a intervenção das autoridades. A remoção de servidores e domínios atingiu parte da infraestrutura usada para distribuir e controlar os malwares.

Endgame já atingiu outras redes criminosas

A ação contra o Gootloader integra a Operação Endgame, iniciativa internacional de aplicação da lei voltada a interromper grandes redes criminosas usadas para distribuir malware e realizar ataques cibernéticos. Em etapas anteriores, a operação atingiu servidores, sites e botnets ligados a DanaBot, IcedID, SystemBC, Pikabot, SmokeLoader, Bumblebee e Trickbot.

A iniciativa também desativou estruturas relacionadas ao Rhadamanthys, malware especializado no roubo de informações, ao trojan de acesso remoto VenomRAT e à botnet Elysium. Em outra ação, autoridades retiraram do ar quatro serviços usados para testar se malwares escapavam da detecção por antivírus: AVCheck.net, Crypt.guru, Cryptor.live e Cryptor.biz.

Com a interrupção da infraestrutura do Gootloader, as autoridades buscam reduzir a capacidade dos criminosos de distribuir malware, comercializar acessos a dispositivos comprometidos e facilitar novas campanhas de ransomware.